Доверие, зафиксированное.
Elido по умолчанию размещается в ЕС, соответствует духу GDPR и изначально строится с журналами аудита. Ниже мы разделяем то, что действует сегодня, и то, что запланировано или в процессе, и помечаем каждый пункт.
- Регион ЕСEUEU residency · по умолчанию
Где сегодня размещены основная база данных, хранилище аналитики и резервные копии для каждого рабочего пространства.
- Восток СШАUSЗапланировано
Запланировано. Не реализовано: рабочие пространства сегодня нельзя привязать сюда.
- Азиатско-Тихоокеанский регионAPACЗапланировано
Запланировано. Не реализовано: рабочие пространства сегодня нельзя привязать сюда.
Что «доверие» означает в продуктовых терминах
Что мы имеем в виду под доверием
Каждый принцип соответствует чему-то конкретному в продукте, DPA или журнале аудита.
EU-residency по умолчанию
База данных, аналитика и резервные копии размещены в ЕС. Узлы редиректов в США (Эшберн) и Сингапуре обрабатывают запросы посетителей. Привязка рабочего пространства к US East или Asia-Pacific пока недоступна.
Audit trail на всё
Настройки рабочего пространства, смены ролей, ротации ключей, создание/удаление ссылок, экспорт. Каждое событие имеет who/when/what - экспортируется.
Read-only по умолчанию для AI
AI-интеграции получают scoped, ротируемые ключи. Запись/удаление - отдельная явная настройка с аудитом.
Ключи, управляемые клиентом (запланировано)
Шифрование с ключом клиента (BYOK) пока недоступно. Резервные копии базы данных шифруются до того, как покинут наши серверы.
Anti-abuse pipeline
Каждая ссылка проходит через композитный сканер (URLhaus + Google Safe Browsing + эвристика) на создании и ещё раз - повторным воркером.
Прозрачность sub-processors
Полный список, местоположение и цели. Мы обязуемся уведомлять о добавлениях за 30 дней.
Append-only audit log
Каждое изменение состояния записывается.
Приложение только добавляет записи в таблицу аудита (пути обновления нет), и каждая запись связана хеш-цепочкой с предыдущей, поэтому подмена обнаруживается с помощью административного эндпоинта проверки. Это защита на уровне приложения, а не ограничение прав в базе данных. Записи старше окна хранения удаляются ежедневно: по умолчанию 730 дней, настраивается для каждого рабочего пространства от 30 дней (например, 6 лет для рабочих пространств HIPAA).
- Личность инициатораID пользователя или сервисного принципала, IP-адрес источника и request ID
- Diff до/послеСтруктурированный JSON-diff изменённой строки - не просто текстовая запись лога
- Поток в SIEMWebhook с HMAC-подписью в Splunk / Datadog / ELK в реальном времени
- Защита от подделкиЗаписи с хеш-цепочкой и эндпоинт проверки цепочки
{ "domain": "go.acme.eu",- "status": "pending_dns",+ "status": "verified",- "tls_mode": "none",+ "tls_mode": "on_demand",+ "verified_at": "2026-05-08T11:42:18Z", "workspace_id": "ws_8a2f" }Запросы субъектов данных
Права субъектов через API.
Отправляйте запросы на доступ и удаление на [email protected]; наша команда фиксирует каждый запрос и отслеживает 30-дневный срок. Самообслуживания и публичного API для запросов субъектов данных пока нет. Пакет доступа - это zip-архив с CSV-файлами: запись аккаунта, членство в рабочих пространствах, собственные рабочие пространства, ссылки, записи журнала аудита, где субъект является исполнителем действия, и сессии. Удаление сейчас анонимизирует email и имя аккаунта и завершает сессии; события кликов (включающие IP-адреса посетителей) пока не выгружаются и не удаляются автоматически. Ускоренного уровня обработки нет.
- Шаг 1
Запрос субъекта
Конечный пользователь → контролёр (вы)Субъект обращается к вам. Вы аутентифицируете его в своём продукте, не в Elido.
- Шаг 2
Запрос зарегистрирован
Отправьте запрос письмом с email аккаунта и типом запроса (выгрузка / удаление); наша команда фиксирует его и проверяет личность.
- Шаг 3
Бандл рабочего пространства
zip · CSVАккаунт, членство, собственные рабочие пространства, ссылки, записи журнала аудита, где субъект является исполнителем действия, сессии. События кликов пока не включены.
- Шаг 4
SLA
30 днейСрок GDPR в один месяц, отслеживается для каждого запроса на каждом тарифе.
Тринадцать субобработчиков, список публичный
Тринадцать поставщиков. Список публичный.
Полный поименный список с расположением вендора, целями обработки, категориями данных и ссылкой на DPA находится на /legal/subprocessors. Добавление или замена субподрядчика запускает 30-дневное уведомление всем администраторам через in-app баннер и email до начала обработки, чтобы клиенты могли возразить.
- Вычисления и хостингISO 27001Основная инфраструктура приложения и edgeEU · Германия + Финляндия
- Edge-вычисленияISO 27001 · SOC 2Узлы редиректов (получают IP-адреса посетителей)США (Эшберн) + Сингапур
- Доставка почтыТранзакционная почтаЕС + США
- ПлатежиКарточные платежи (Paddle за пределами Украины, monobank в Украине)Великобритания / ЕС / UA
- CDN + WAFISO 27001 · SOC 2DNS, прокси и CAPTCHA; поставщики живого чата, ИИ, SSO и проверки репутации URL указаны в полном спискеГлобально · EU-маршрутизация
Compliance-позиция
Где мы по фреймворкам, о которых спрашивают клиенты.
В каждой строке указано, что действует сегодня и что ещё в процессе.
ISO 27001
Не сертифицировано. Мы движемся к ISO 27001; сертификат не выдан, дата аудита не опубликована.
SOC 2 Type II
Подготовка к аудиту в процессе; период наблюдения запланирован на конец 2026 - 2027 года. Отчёт SOC 2 пока не выдан.
GDPR
DPA со стандартными SCC предоставляется по запросу, список субобработчиков публичный. Не все потоки данных ограничены ЕС: см. политику конфиденциальности.
HIPAA-ready
BAA доступно на Business+; журналирование аудита и контроль доступа реализованы. Юридические условия определены в самом BAA.
EU residency
Основная база данных, аналитика и резервные копии находятся в ЕС. Узлы редиректов в США и Сингапуре обрабатывают запросы посетителей, поэтому передача данных за пределы ЕС происходит.
Encryption
TLS при передаче; зашифрованные внешние резервные копии. BYOK пока недоступен.
Compliance FAQ
Вопросы, которые procurement продолжает нам присылать.
Вы подписываете DPA?
Да. Наш стандартный DPA включает SCC ЕС. Его пока нельзя скачать или принять при оформлении заказа: запросите подписанный экземпляр на [email protected]. Индивидуальные правки доступны на Business и Enterprise.
Сколько у вас субподрядчиков?
Тринадцать, и не все из ЕС: хостинг (ЕС и США), edge редиректов (США, Сингапур), резервные копии, транзакционная почта, платежи (Paddle, monobank, опционально Coinbase), живой чат, ИИ, SSO, CAPTCHA/DNS, проверка репутации URL и офлайн-набор данных геолокации. Полный поимённый список с местоположением и целями размещён на /legal/subprocessors.
Доступен ли пин региона на каждом тарифе?
Пока нет. Все рабочие пространства обслуживаются одной и той же инфраструктурой (основная в ЕС, узлы редиректов также в США и Сингапуре). Привязка рабочего пространства к US East или Asia-Pacific запланирована, но не реализована и сегодня не предлагается ни на одном тарифе.
Какие сроки обработки DSAR?
30 дней на каждом тарифе (один месяц по GDPR). Запросы отправляются на [email protected] и обрабатываются нашей командой; ускоренного уровня и публичного API для запросов пока нет. Пакеты доступа - zip-архив с CSV-файлами; события кликов пока не включены.
Как работают BAA для HIPAA?
BAA только на Business+. Журналирование аудита и контроль доступа такие же, как на стандартном уровне. Напишите на [email protected], чтобы начать.
Есть ли self-host?
Helm-чарт для Kubernetes есть в репозитории. Условия лицензии и поддерживаемая модель самостоятельного размещения определяются договором; свяжитесь с [email protected], прежде чем полагаться на самостоятельное размещение.
Как вы уведомляете клиентов об изменениях субподрядчиков?
Добавление или замена субобработчика влечёт уведомление за 30 дней через баннер в приложении и email каждому администратору рабочего пространства. Клиенты могут возразить до начала обработки. Изменения отражаются на /legal/subprocessors.
Где вы публикуете инциденты и uptime?
Текущий статус, недавние инциденты и полные постмортемы - на /status. О нарушениях безопасности персональных данных затронутые клиенты уведомляются в порядке, требуемом GDPR и DPA.
Куда смотреть дальше
Начните отсюда, если оцениваете нас для решения о закупке.
Контакты
Вопросы по безопасности?
[email protected] - для отчётов об уязвимостях (доступен PGP). [email protected] - по вопросам SOC 2 / ISO / DPA. Мы стремимся отвечать в течение одного рабочего дня.
Безопасность
Отчёты об уязвимостях, security.txt, ключ PGP по запросу. Мы стремимся отвечать в течение одного рабочего дня.
[email protected]Compliance
Запросы SOC 2 / ISO, встречная подпись DPA, уведомления о субподрядчиках, процесс BAA для HIPAA.
[email protected]Готовы, когда готов procurement.
DPA по запросу, публичный список субобработчиков, журнал аудита на каждом тарифе. Начните бесплатно или свяжитесь с отделом продаж для анкеты по безопасности.